Hackeo de Coinsbuy por $8 millones: análisis detallado del ataque en las redes TRON y Ethereum
El 9 de agosto, la plataforma cripto Coinsbuy sufrió un ataque coordinado que resultó en la pérdida de $8,07 millones. Mi análisis de datos on-chain, realizado en conjunto con investigadores de blockchain, reveló un patrón claro de las acciones del atacante, que abarcó las dos redes más grandes: TRON y Ethereum.
Cronología del ataque: de la prueba a la retirada masiva
El atacante actuó metódicamente. El primer paso fue una transacción de prueba de 5 USDT en la red TRON. Esta es una táctica clásica para verificar el funcionamiento de los canales de retiro y asegurarse de que no haya bloqueos. Tras confirmar el éxito, el hacker retiró 6,04 millones de USDT de ocho billeteras en la blockchain en el transcurso de una hora. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT.
Paralelamente, se llevó a cabo un ataque en Ethereum. Tres direcciones fueron vaciadas por 1,89 millones de USDT y 77 ETH. Cabe destacar que todos los fondos se convirtieron rápidamente en 981,1 ETH a través del agregador descentralizado 1inch. La billetera para estos swaps se creó en la misma hora, lo que indica una preparación cuidadosa y el uso de direcciones desechables.
Conexión entre redes: la pista clave
El punto crítico fue el descubrimiento de una conexión entre ambas partes del ataque. El análisis mostró que el atacante utilizó el servicio de cadena cruzada Bridgers. El contrato de pagos de este servicio en Ethereum enviaba fondos a la billetera de swaps, y los montos y tiempos de las transacciones coincidían completamente con las acciones del atacante. Esto no deja dudas: estamos ante una operación coordinada única, no ante dos hackeos independientes.
Lavado de fondos y reacción de los servicios
Aproximadamente el 79% de los activos robados pasó por el intercambiador FixedFloat. Para ello, el hacker utilizó alrededor de 50 direcciones desechables, lo que dificulta seriamente el rastreo. Sin embargo, se lograron algunos resultados: tras la solicitud del grupo de análisis Specter Investigations, el servicio ChangeNOW congeló 150 ETH (aproximadamente $288,000). Otros 282 ETH (~$542,000) permanecen intactos en cinco direcciones.
Comportamiento extraño del equipo de la plataforma
El aspecto más intrigante es la reacción de la propia Coinsbuy. No hubo comentarios oficiales, pero dentro de las 24 horas posteriores al hackeo, el equipo recargó las billeteras afectadas con 3,93 millones de USDT. Siete transacciones coincidieron con los montos robados con una precisión del 0,05%. Esto es extremadamente inusual. Como señalaron acertadamente mis colegas: «El dinero sigue allí hasta ahora. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche».
Inicialmente, el daño se estimó en $7,9 millones, pero mi cálculo de las transacciones individuales da una cifra exacta: $8,073,992. Este incidente vuelve a plantear la cuestión de la seguridad de las plataformas centralizadas. Recordemos que el 31 de julio, alrededor de 500 propietarios de billeteras de hardware Coldcard perdieron 594,48 BTC (~$38,2 millones), y tras la segunda ola de ataques, el monto del daño aumentó a 1367 BTC (~$89 millones).
Mi comentario: Este caso es ilustrativo porque, incluso con el uso de herramientas analíticas modernas, una parte significativa de los fondos ya ha pasado por mezcladores e intercambiadores. La industria necesita urgentemente estándares más estrictos de KYC/AML para los servicios descentralizados; de lo contrario, seguiremos viendo este tipo de ataques una y otra vez.